[saaj.871]
システム監査基準に関する議論が混乱しているように思いすまので、整理をしてみたいと思います。
「システム監査とは何か」を自問自答しながら、明快な答えが出せなくて悩んでいるひとりとして述べます。（長文です）
＜監査基準と監査要点を混同していませんか＞
「システム監査基準は年代物であり、もう初期の目的を達し、今日的な基準では
ないので、これにこだわる必要はない」という場合の「システム監査基準」とは、
監査を実施するために拠り所とする枠組みのことではなく、監査要点を指して使
っておられるようです。
そのほかの議論でも、ほとんどの場合、システム監査基準のなかの実施基準を指
して監査基準と考えられているようです。
この実施基準は、本来の意味では監査基準ではありません。監査要点に該当する
ものです。
監査要点とは、監査目標を達成するために、各監査項目について立証すべき命題
のことを言います。
情報システムの進展等とともに、監査目標は対応して変わっていきます。
統一テーマとしての監査目標が変われば、個別テーマとしての監査要点が変わる
のは当然のことです。
その意味で、システム監査基準に書かれている監査要点が、今は年代物となって
いたりするという考えは首肯できます。
しかし、本来のシステム監査基準が時代遅れになっているという非難は、監査基
準にとっては身に覚えのない「ぬれぎぬ」となります。
（なお、すべての監査要点が年代物になっているかというとそうではありません。
たとえば、システム監査基準のY.イ.１.(1)にある「情報戦略は、経営戦略との
整合性を考慮して策定しているか。」は、最近になって重要視されだした監査要
点だと思われます。）
＜当初の監査基準は啓蒙的である＞
旧システム監査基準は、その実施基準を「監査を行うに当たっての観点と内容に
ついて定めたもの」と説明しています。すなわち、監査要点のことです。
昭和６０年に「システム監査基準を策定」したのは、「システム監査の普及促進
に努める」ためでした。そこで、システム監査の目指すものが分かるように、啓
蒙的な意味で、本来の監査基準とはいえないものも書き込まれたと考えられます。
これは、会計監査の基準でも同様の歴史があります。
当初には、「監査実施準則」が、監査基準の次に補足され、その中で監査手続を
監査項目別に列記していました。昭和２５年に制定され平成３年に削除されるま
で、幾度も改訂されながら啓蒙的役割を果たしました。そして、平成１４年１月
には、その準則自体も廃止し、監査基準一本に純化しています。
＜本来の監査基準とは＞
監査基準の本質については、実践規範として、専門的技術基準として、責任基準
として、品質基準として、利害調整基準として、役割基準としてなど、様々な性
質をもっていると論じられることがあります。
システム監査とは、何を目的としてどのようなことをするものであり、監査人の
役割は何かを記述するのが役割基準です。
システム監査基準では、改訂前の基準の前文や一般基準１の目的が、部分的に、
それに当たります。
ただ、改訂後の基準では、いずれも削除されており、システム監査が何を目指し
ているかが明示されていませんし、システム監査人の役割については、ほとんど
記述されていません。
このことが、システム監査基準が依拠できないと感じられる場合の本質的な問題
点だと思います。
「我々の監査は、一般に認められたシステム監査基準に準拠して実施された」と
いう文言が、監査報告書に記載されてはじめて、システム監査基準が監査基準と
して認められるのだと考えられます。
監査基準は、社会から認知されなければなりません。
システム監査基準がいろいろあったのでは、システム監査の報告書を利用する読
者は、いちいち、そのシステム監査はどの程度の技術水準で、どの程度の品質で
実施されたのか、その監査人はどの程度の責任をもって報告書を作成しているの
かを検討した上でないと、監査報告書を利用できないことになります。
そのような制度は、社会的には消滅せざるをえないでしょう。
＜システム監査は監査ではない？＞
よくある意見に、「システム監査は会計監査とは違うから、会計監査の議論を持
ち出すのは筋違いだ。」というのがあります。
これは、冷静な議論をする場合には避けるべきだと考えます。
なぜなら、
@ 監査論を、自分たちで、一から作り上げなければならないからです。
これまで長年にわたって培われた理論や実践を無視することになります。
A 監査という名を我々の行為に付けたのは、会計監査で使われている監査とい
う用語のイメージを求められたと想像できるからです。
（auditingは、専門用語として訳すなら、監査となります。）
B システム監査を受け側は、監査という冠が付く以上、会計監査との類似性を
連想するか、あるいは、期待するからです。
ただ、今、われわれが携わっている仕事が、監査理論で言うところの監査という
範疇に入らないとすれば、無理に監査という名にこだわらず、システム審査とか
（検査、調査、診断、認定、鑑定・・・）実体に合った別の名称に変えるのが、
適当です。
名称は大切です。
＜監査基準の不備をどうするか＞
システム監査基準は、過去の遺物だというのは、監査基準と監査要点を混同して
いるという点は、始めに述べたとおりです。
監査基準の本質から見て、今のシステム監査基準に不備があるというのであれば、
理解できるという点は、その次に述べました。
そして、ここで言い忘れてはいけないのが、システム監査人協会の役割です。
監査要点の陳腐化に対して、システム監査人協会は、「情報システム監査実践マ
ニュアル」を発刊して、CSS、EUC、DOA等について対応しています。
監査要点だけではなく、システム監査の実践方法についても貴重なノウハウを提
供しています。
同マニュアルの続巻が今編集されています。将来にわたって、努力は続けられる
でしょう。
一方、監査基準についてはどうでしょうか。
システム監査基準の策定が国から離れた今、システム監査人協会が設定主体とし
て努力するほかないとは思いますが、この小さな組織でしかもボランティアで行
うには荷が重すぎる気がします。
ただ、社内で完結し社会に開かれていないシステム監査をシステム監査と呼んで
いる限りでは、システム監査は社会的には認知されず、発展もしないと思えてな
りません。
RE:[saaj.872]
> システム監査基準の設立主体にＳＡＡＪがなるのは重い荷だと私も思いますが、
> 「荷が重過ぎる」と言うのは早計だと考えております。
そう考えたいと思っています。
> また、会計監査のしくみに学ぶべき所は多いと思います。
> しかし、そのことが会計監査の一部としてシステム監査が存在するべきである
> という根拠にはならないのではないでしょうか。
この点の誤解が多いので、あえて書き加えたのですが、説明不足で、また誤解さ
せてしまったようです。
私は、監査のなかに、会計監査やシステム監査が含まれると述べたつもりです。
会計監査がシステム監査を包含しているとは思っていません。
理由は長々と書かねばならないので省略しますが、会計監査の一環として実施さ
れているシステム監査は本来のシステム監査ではないと考えています。
したがって、「会計監査の中にシステム監査が位置づけられるのは、結構なこと
だ」とも思っていません。
逆に、システム監査のうちに会計監査が含まれているとも考えていません。
繰り返しますが、システム監査と会計監査は、それぞれ監査の一形態であって、
同列に扱われるものだと考えます。
その監査理論を学ぼうとすれば、会計監査論は避けて通れないというだけのこと
です。このことをもって、会計監査がシステム監査の上位に来ると誤解されない
ように願います。
監査論も、実務や歴史から帰納・演繹するアプローチだけでなく、論理学や認識
論からアプローチしようとしている学者も出てきています。
（「監査の理論的考え方」鳥羽至英、秋月信二著、森山書店刊）
監査論は、われわれがシステム監査を極めていくときに、よすがにできるものだ
と思います。
(みなさんへお願い）
メーリングリストを読んでいると、会計監査を目の敵にしたり、張り合おうとし
たりする文脈によく出くわす気がします。（気がするだけかも知れません）
それって意味のないことではありませんか。システム監査が偉いわけでも、会計監査が偉いわけでもないのに。
システム監査とは何なのか、どうすればいいのか、・・・を会員の人たちが真摯
に考えていくときに、妨げとはなっても何の益にもならないと思います。
見当違いでしたらごめんなさい。
Re: [saaj.874]
> ××です。
> 藤野さんへのお願い。
> 複数の人の発言の一部を、つなぎあわせることはやめていただきたい。
> 意見の出しようがありません。
私の意図は、特定の人の発言の言葉尻をとらえて議論をするのが建設的ではない
と思いましたので、こうしました。
××さんの意図は、この私が要約した意図とは違うお考えであることは、分かり
ました。もとより、誰かを非難しようとして発言しているわけではありませんの
で、そのことにコメントすることはありません。悪しからず。
> 「本来のシステム監査基準」とは何を指されているのかかわかりませんし、
> 誰が「ぬれぎぬ」を着せたのかわかりませんが、
> ご指摘の点の大筋に異論はありません。
監査基準と監査要点は別に議論したいいう点を理解して頂いたら幸いです。
（重ねて言いますが、「誰が」を問題にしているのではありません。監査基準が
監査要点と混同されているのではないかと危惧しているだけです。）
> また、私が言いたいのは。協会としての「システム監査基準」を
> もっておくべきであるということです。
私も、正にそのことを望んでいます。
そのために、会員各自の感想ではなく、理論的な筋道で議論が進んでほしいと思
って発言しております。
システム「監査」であるための責任について
私が実際に携わっているシステム監査は、証券取引法に依る会計監査の中で、内部統制の信頼性の程度を評価する一環として実施されるシステム監査であるか、あるいは、コンサルティングとして情報システムの欠陥や不具合を指摘し改善提案をするものである。
一般には、このような業務をシステム監査というのであるが、はたして、システム「監査」といってよいものか疑問をもっている。たしかに情報システムを対象にしているが、情報システムを対象として、その信頼性等の程度や欠陥の有無を検討し、指摘や改善勧告をするだけで、システム監査と呼んでよいのであろうか。
監査であるための要素には、社会的要請に対する情報還元、計画的・組織的な監査手続、意見形成のための証拠収集、専門性、公平不偏性などが考えられるが、ここでは、監査人の責任にしぼって考察してみたい。責任を伴わない監査というのはあり得ないと考えるからである。すなわち、今一般に実施されているシステム監査には、法的なあるいは社会的な責任があるのかどうかという問題点を検討してみる。
システム監査を実施するに当たって拠り所とすべき規範としてシステム監査基準はあるが、システム監査人の義務や責任を規定した法律はない。システム監査人協会が作成している倫理規定は、システム監査人の行動を自己規制するものであって法律ではない。システム監査基準では、組織体の長に対する報告を想定しているが、責任については、専門家としての注意義務を求めるに止まっている。組織体の長に対する責任は、外部監査人の場合は契約事項であり、内部監査人の場合は就業規則の範疇であって、システム監査基準が積極的に監査の責任を規定していることはない。
システム監査は任意監査であって、監査報告書が社会に公表されることや、社会的に利用されることは想定されていないようである。そのためか、「みずほ事件」のような社会的に大きな影響を及ぼす事故が起きても、システム監査が実施されていたかどうかと言う議論はあっても、システム監査人の責任が世間で問われることがないのである。
情報システムの脆弱性を認識せず、そのリスクを放置することは、その情報システムを保有し利用している組織体に障害が限られるものではなく、ネットワークの活用が進んでいる現在の環境では、社会全体に障害が及ぶものである。このような認識が一般的になりつつあるにもかかわらず、システム監査人の責任が問われることがないのである。考えてみれば、かなり奇妙なことである。
次に、別の面からシステム監査人の責任を検討してみたい。システム監査が社会的に認知されたとして、システム監査人は、どのように責任をとることが出来るであろうか。システム監査は情報化社会の健全化に資することを目的とする、という監査目的を達成しようとするならば、「みずほ事件」のような事故が起こり得るリスクを監査人は看過してはならなかったはずである。しかし、たとえば当該システム監査人が、事件の核心と想像されるシステム統合に関して監査目標を掲げていなかった場合まで、システム監査をしていたからというだけで、責任を負わせていいものだろうか。けだし、システム監査では、様々な視点から様々な監査目標を立てることが出来、短期間にそれらの監査目標をすべて監査することは不可能と考えられるからである。
会計監査では、監査目標として、企業の財政状態や経営成績を適正に開示するという命題が公知である。その監査目標を達成していなかったことが明らかな場合に、監査人の責任が問われるわけである。
しかし、システム監査では、いずれの監査にも共通したあるいは最低限の監査目標というものの社会的合意がまだ形成されていない。現状では、どのような監査目標をかかげて監査されたのかは外部の第三者からは伺い知ることが出来ないのである。このような状況を打破して、システム監査が社会から真に監査として認知されるためには、どのようなレベルで、どのような責任をもって監査を実施するのか、そして、そのためにはどのように監査手続を実施すれば可能なのかなど、システム監査人の責任に関する議論を、いよいよ深めていくことが望まれてならないのである。
[up net on 02/6/9]